Какой рейтинг вас больше интересует?
|
Главная / Главные темы / Тэг «nishinaka»
«HTTP Strict-Transport-Security» или как обезопасить себя от атак «man-in-the-middle» и заставить браузер всегда использовать HTTPS 2014-03-23 10:30:32
Внимание к мелочам рождает совершенство,
а вот совершенство уже не мелочь. ...
+ развернуть текст сохранённая копия
Внимание к мелочам рождает совершенство,
а вот совершенство уже не мелочь.
Микеланджело Буонарроти
C 2012 года администраторам веб-ресурсов стала доступна новая технология HTTP Strict Transport Security (HSTS) — механизм, активирующий форсированное защищённое соединение по HTTPS. Данная политика безопасности позволяет сразу же устанавливать безопасное соединение, вместо использования HTTP. Механизм использует особый заголовок HTTP Strict-Transport-Security, для переключения пользователя, зашедшего по HTTP, на HTTPS-сервер [1].
HSTS направлен на закрытие следующих уязвимостей к атакам:
Пользователь помещает в закладки или набирает в адресной строке http://example.com/ и становится жертвой атаки «man-in-the-middle» |
HSTS автоматически преобразует HTTP-запросы в HTTPS для целевого домена |
Веб-приложение, предполагаемое к использованию строго по HTTPS, по небрежности содержит HTTP-ссылки или отдает контент по HTTP |
HSTS автоматически преобразует HTTP-запросы в HTTPS для целевого домена |
Атакующий «man-in-the-middle» пытается перехватить трафик жертвы используя поддельный сертификат в надежде, что пользователь не обратит внимания на сообщение о невалидном сертификате |
HSTS не даст пользователю пройти дальше сообщения о проблемах с сертификатом |
Включается данная технология проще простого, необходимо возвращать пользователю HTTP-заголовок «Strict-Transport-Security» в тот момент, когда он заходит на сайт по HTTPS: Strict-Transport-Security: max-age=expireTime [; includeSubdomains]
expireTime
Время в секундах, на которое браузер должен запомнить, что данный сайт должен посещаться исключительно по HTTPS. includeSubdomains (опционально)
Если указать этот необязательный параметр, правила так же применятся ко всем поддоменам. Читать дальше →
Тэги: apache, https, nginx, security, ssl, администрирование, безопасность, веб-разработка, веб-серверов, информационная, системное
[Из песочницы] Веб-приложение на C++, или укрощение демона FastCGI 2014-03-18 12:44:19
В настоящее время, благодаря таким инструментам как NodeJS, создание веб-приложения — сущий ...
+ развернуть текст сохранённая копия
В настоящее время, благодаря таким инструментам как NodeJS, создание веб-приложения — сущий пустяк. Скачал бинарник, сваял js в 5 строчек кода и можно хвастаться. А если подключить express и добавить ещё 5 строчек, то получим полноценное веб-приложение с роутингом, шаблонами, сессиями и другими прелестями. Так просто, что даже скучно. И стало мне интересно: как обстоят дела у моего старого знакомого С++, с которым уже 5 лет не виделся. В своё время прельстил меня ActionScript и прочий JavaScript, а о добром друге, который не раз выручал, совсем позабыл. В свете недавних статей о Configurable Omnipotent Custom Applications Integrated Network Engine (сокращено Cocaine), попался мне на глаза проект под названием Fastcgi Daemon, на основе которого функционирует HTTP-интерфейс Cocaine. И так, знакомьтесь
Читать дальше →
Тэги: c++, cocaine, fastcgi, nginx, web, веб-разработка, яндекс
[Из песочницы] Используем nginx, docker, skydns и skydock для обновления кода на лету (zero-downtime deployment) 2014-03-13 16:34:39
Инструменты, которые мы будем использовать
Docker
Docker — простая ...
+ развернуть текст сохранённая копия
Инструменты, которые мы будем использовать
Docker
Docker — простая и элегантная библиотека для создания легковесных изолированных друг от друга виртуальных контейнеров, в которых можно исполнять любой код. Совершенно не требователен к ресурсам, минимальный overhead.
Собрав контейнер один раз, его можно многократно использовать.
Простой пример — это БД Redis. Если нам необходимо несколько серверов Redis на одном компьютере, при обычном подходе нам придется изменять конфигурационные файлы в /etc/redis и менять файлы в /etc/init.d. Можно написать bash скрипт, но это не делает процесс легче.
Читать дальше →
Тэги: discovery, docker, nginx, service, skydns, skydock, балансировка, веб-разработка, кода, лету, нагрузки, обновление, программирование
Ограничение для сайта на подключение ботов поисковых систем 2014-03-11 01:53:00
Тэги: nginx
Доступ к контенту iFrame с другого домена 2014-01-23 12:48:59
Сегодня я хочу рассказать о том, как мы в своем проекте indexisto.com сделали дешевую ...
+ развернуть текст сохранённая копия
Сегодня я хочу рассказать о том, как мы в своем проекте indexisto.com сделали дешевую китайскую подделку аналог инструмента Google Webmaster Marker. Напомню, что Marker это инструмент в кабинете Google Webmaster, который позволяет аннотировать ваши страницы Open Graph тегами. Для этого вы просто выделяете мышкой кусок текста на странице и указываете что это title, а это рейтинг. Ваша страница при этом грузится в Iframe в кабинете вебмастера.
Теперь Google, встретив подобную страницу на вашем сайте, уже знает, что за контент на ней опубликован, и как его красиво распарсить в сущность (статью, товар, видео..)
Нам был нужен подобный функционал. Задача казалась несложной и исключительно клиентсайд. Однако на практике решение лежит на стыке клиентсайда и серверсайда («чистые» JS программисты могу ничего не знать про различные прокси серверы и очень долго подходить к снаряду). При этом я не нашел в интернетах статью которая описывала бы всю технологию от начала до конца. Также хочется сказать спасибо пользователю BeLove и нашим безопасникам за помощь.
Читать дальше →
Тэги: group, iframe, java, javascript, mail.ru, nginx, postmessage, proxy, блог, браузеры, веб-разработка, компании
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 ...
Главная / Главные темы / Тэг «nishinaka»
|
Взлеты Топ 5
Падения Топ 5
|